Eine ganzheitliche Methodik für den automatisierten Echtzeit-Nachweis zur Absicherung hoch integrierter, sicherheits-kritischer Software-Systeme (Deutsch)

90% der Innovationen im Automobil werden heute durch Elektronik-Funktionen mit hohem Softwareanteil realisiert. Ein Großteil dieser neuen Funktionen findet sich im Bereich der Fahrer-Assistenz. Wir sind zwar noch längst nicht beim Autonomen Fahren', aber elektromechanische Lenkung, Bremsassistent, Spurhalteassistent, und Abstandsautomatik greifen aktiv in die elementaren Bedienfunktionen des Autos ein: Gas geben, Bremsen, Lenken. Dies hat weitreichende Auswirkungen auf die geforderten Sicherheitslevel der ISO 26262, die Zulassung, Qualität/Image und Haftung. Hinzu kommen neue Architekturen, denn eine weiter steigende Zahl an Steuergeräten im Auto ist ökonomisch kaum mehr vertretbar. Schon heute werden vielfach Steuergeräte mit mehreren lose gekoppelten (SPI-Bus) Prozessoren eingesetzt, um die Zahl der Steuergeräte zu reduzieren. Dual-Core Architekturen werden im Lock-Step-Redundanzbetrieb eingesetzt. Die Zukunft wird den Multi-Core Lösungen gehören. Die Komplexität der Aufgabe - die gewünschten Funktionen zuverlässig und kostenoptimiert zu realisieren - nimmt dabei drastisch zu, weil sich die steigende Zahl von Funktionen eine immer kleiner werdende Zahl an umso performanteren Recheneinheiten teilen muss. Insbesondere die sichere Ablaufsteuerung, d.h. das Scheduling der Software-Komponenten und Tasks, sowie die Verteilung (das Mapping) von Software auf die Recheneinheiten wird zu einer essentiellen Aufgabe für den System-Integrator. Hier muss er sicherstellen, dass allen kritischen Funktionen immer ausreichend Rechenzeit zur Verfügung steht. Dazu muss er wissen, welches Laufzeit-Verhalten die einzelnen Komponenten aufweisen, und welches zeitliche Zusammenspiel sich unter dem Einsatz von Betriebssystemen und der Vergabe von Zykluszeiten, Prioritäten, etc. einstellt. Vor dem Hintergrund der steigenden Komplexität ist diese Aufgabe heute zuverlässig nur noch durch eine weitestgehende Automatisierung der Timing-Analyse möglich, weshalb sich Laufzeit- und Scheduling-Analyse-Tools im Markt für sicherheitskritische Systeme zur Zeit schnell verbreiten. Die Notwendigkeit für den Einsatz solcher Timing- und Scheduling-Absicherungen steigt aktuell umso mehr, wie die Grenzen zwischen sicherheitskritischen und nicht-sicherheitskritischen Funktionen verschwimmen, sowohl funktional (Stichwort Smart Sensors) als auch architekturell. Denn da sich beide mehr und mehr dieselben Ressourcen teilen müssen, rücken in Bezug auf das Echtzeit-Verhalten bereits heute schon eigentlich nicht-sicherheitskritische Softwareteile in den Fokus der Sicherheitsnachweise, da sie grundsätzlich Störungen hervorrufen können. Diese neue Herausforderung erfordert nicht nur Analyse-Tools sondern auch eine entsprechende Sicht auf den gesamten Integrationsprozess, inklusive aller beteiligten Software-Komponenten. Im Beitrag wird eine umfassende Timing-Methodik vorgestellt, die im Rahmen des EU-FP7-Forschungsprojektes ALL-TIMES entwickelt und industriell von OEMs und Tier-ls validiert wurde für den Einsatz von Absicherungsmaßnahmen über den gesamten Produktzyklus. Es wird gezeigt, welche Fragestellungen zu welchen Phasen im Entwicklungsprozess wie beantwortet werden können und welche Informationen dazu notwendig sind. In diesem Zusammenhang werden wir auch auf das AUTOSAR Timing-Modell eingehen, das eine wesentliche Neuerung der AUTOSAR Release 4.0 darstellt und erstmals die wichtige Spezifikation von Timing-Eigenschaften einzelner Software-Komponenten ermöglicht. Dies liefert wichtige Informationen für die Integration, und deren Absicherung. Die einzelnen Beiträge werden anhand von konkreten Beispielen aus Kundenprojekten erläutert.